Из Википедии, свободной энциклопедии
Перейти к навигации Перейти к поиску

Безопасность браузера - это приложение интернет-безопасности к веб-браузерам для защиты сетевых данных и компьютерных систем от нарушений конфиденциальности или вредоносного ПО . В эксплойтах безопасности браузеров часто используется JavaScript , иногда с межсайтовым скриптингом (XSS) [1] с дополнительной полезной нагрузкой с использованием Adobe Flash . [2] Эксплойты безопасности также могут использовать уязвимости (дыры в безопасности), которые обычно используются во всех браузерах (включая Mozilla Firefox ,[3] Google Chrome , [4] Opera , [5] Microsoft Internet Explorer , [6] и Safari [7] ).

Безопасность [ править ]

Веб-браузеры могут быть взломаны одним или несколькими из следующих способов:

  • Операционная система взломана, и вредоносная программа считывает / изменяет пространство памяти браузера в привилегированном режиме [8]
  • В операционной системе в качестве фонового процесса запущена вредоносная программа, которая считывает / изменяет пространство памяти браузера в привилегированном режиме.
  • Исполняемый файл основного браузера можно взломать
  • Компоненты браузера могут быть взломаны
  • Плагины браузера можно взломать
  • Сетевые соединения браузера могут быть перехвачены за пределами машины [9]

Браузер может не знать ни о каком из вышеуказанных нарушений и может показать пользователю, что установлено безопасное соединение.

Каждый раз, когда браузер связывается с веб-сайтом, веб-сайт в рамках этого взаимодействия собирает некоторую информацию о браузере (чтобы обработать форматирование страницы, которая будет доставлена, если ничего другого). [10] Если вредоносный код был вставлен в содержимое веб-сайта или, в худшем случае, если этот веб-сайт был специально разработан для размещения вредоносного кода, то уязвимости, характерные для конкретного браузера, могут позволить этому вредоносному коду запускать процессы внутри приложение браузера непреднамеренным образом (и помните, что одна из частей информации, которую веб-сайт собирает в ходе взаимодействия с браузером, - это идентификатор браузера, позволяющий использовать определенные уязвимости). [11]Как только злоумышленник сможет запускать процессы на машине посетителя, использование известных уязвимостей безопасности может позволить злоумышленнику получить привилегированный доступ (если браузер еще не работает с привилегированным доступом) к «зараженной» системе, чтобы выполнить еще большее разнообразие вредоносных процессов и действий на машине или даже во всей сети жертвы. [12]

Нарушения безопасности веб-браузера обычно имеют целью обойти защиту для отображения всплывающей рекламы [13], собирая личную информацию (PII) для интернет-маркетинга или кражи личных данных , отслеживания веб- сайтов или веб-аналитики о пользователе против его воли с использованием инструментов. такие как веб - ошибок , ClickJacking , Likejacking (где Facebook «s кнопки как расчитан), [14] [15] [16] [17] HTTP печенье , зомби печенье илиFlash cookie (локальные общие объекты или LSO); [2] установка рекламного ПО , вирусов , шпионского ПО, такого как троянские кони (для получения доступа к персональным компьютерам пользователей с помощью взлома ) или других вредоносных программ, включая кражу через онлайн-банкинг с использованием атак типа «человек в браузере» .

Углубленное изучение уязвимостей в веб-браузере Chromium показывает, что неправильная проверка ввода (CWE-20) и неправильный контроль доступа (CWE-284) являются наиболее частыми первопричинами уязвимостей системы безопасности. [18] Кроме того, среди уязвимостей, исследованных во время этого исследования, 106 уязвимостей возникли в Chromium из-за повторного использования или импорта уязвимых версий сторонних библиотек.

Уязвимости в самом программном обеспечении веб-браузера можно свести к минимуму, постоянно обновляя программное обеспечение браузера [19], но этого будет недостаточно, если базовая операционная система скомпрометирована, например, руткитом. [20] Некоторые подкомпоненты браузеров, такие как сценарии, надстройки и файлы cookie [21] [22] [23] , особенно уязвимы (« проблема запутанного заместителя »), и их также необходимо решить.

Следуя принципу глубокой защиты , полностью пропатченный и правильно настроенный браузер может оказаться недостаточным для предотвращения возникновения проблем безопасности, связанных с браузером. Например, руткит может захватывать нажатия клавиш, когда кто-то входит на веб-сайт банка, или выполнять атаку типа «злоумышленник в середине », изменяя сетевой трафик, поступающий в веб-браузер и исходящий из него. Перехват DNS или подмена DNS могут использоваться для получения ложных срабатываний для ошибочно введенных имен веб-сайтов или для искажения результатов поиска для популярных поисковых систем. Вредоносное ПО, такое как RSPlug, просто изменяет конфигурацию системы, указывая на ложные DNS-серверы.

Браузеры могут использовать более безопасные методы сетевого взаимодействия, чтобы предотвратить некоторые из этих атак:

  • DNS : DNSSec и DNSCrypt , например , с помощью нестандартных серверов DNS , таких как Google Public DNS или OpenDNS .
  • HTTP : HTTP Secure и SPDY с сертификатами открытых ключей с цифровой подписью или сертификатами расширенной проверки .

Защита периметра, как правило, с помощью брандмауэров и использования прокси-серверов фильтрации, которые блокируют вредоносные веб-сайты и выполняют антивирусное сканирование любых загрузок файлов, обычно внедряются в качестве передовой практики в крупных организациях для блокировки вредоносного сетевого трафика до того, как он достигнет браузера.

Тема безопасности браузеров выросла до момента создания целых организаций, таких как The Browser Exploitation Framework Project [24], создающих платформы для сбора инструментов для взлома безопасности браузера, якобы для проверки браузеров и сетевых систем на наличие уязвимостей. .

Плагины и расширения [ править ]

Хотя сами по себе плагины и расширения браузера не являются частью браузера, они расширяют поверхность атаки , выявляя уязвимости в Adobe Flash Player , Adobe (Acrobat) Reader , плагине Java и ActiveX , которые обычно используются. Исследователи [25] тщательно изучили архитектуру безопасности различных веб-браузеров, в частности тех, которые основаны на принципах plug-and-play. Это исследование выявило 16 распространенных типов уязвимостей и 19 возможных способов их устранения. Вредоносное ПО также может быть реализовано как расширение браузера, такое как вспомогательный объект браузера в случае Internet Explorer. [26]Такие браузеры, как Google Chrome и Mozilla Firefox, могут блокировать или предупреждать пользователей о небезопасных подключаемых модулях.

Adobe Flash [ править ]

Основная статья: Локальный общий объект § Проблемы конфиденциальности

Проведенное в августе 2009 года исследование Social Science Research Network показало, что 50% веб-сайтов, использующих Flash, также используют файлы cookie Flash, однако политика конфиденциальности редко раскрывает их, а пользовательский контроль над настройками конфиденциальности отсутствует. [27] Большинство функций удаления кэша и истории браузеров не влияют на запись Flash Player локальных общих объектов в свой собственный кеш, и сообщество пользователей гораздо меньше осведомлено о существовании и функционировании файлов cookie Flash, чем файлы cookie HTTP. [28] Таким образом, пользователи, удалившие файлы cookie HTTP и очищенные файлы истории браузера и кеши, могут полагать, что они удалили все данные отслеживания со своих компьютеров, в то время как на самом деле история просмотра Flash остается. Помимо ручного удаления, BetterPrivacyаддон для Firefox может удалять файлы cookie Flash. [2] Adblock Plus может использоваться для фильтрации определенных угроз [13], а Flashblock может использоваться для предоставления опции, прежде чем разрешать контент на сайтах, которым в противном случае доверяют. [29]

Чарли Миллер рекомендовал «не устанавливать Flash» [30] на конференции по компьютерной безопасности CanSecWest . Некоторые другие эксперты по безопасности также рекомендуют либо не устанавливать Adobe Flash Player, либо заблокировать его. [31]

Модель защиты паролем [ править ]

Содержимое веб-страницы является произвольным и контролируется субъектом, владеющим доменом, который отображается в адресной строке. Если используется HTTPS , то используется шифрование для защиты от злоумышленников, имеющих доступ к сети, от изменения содержимого страницы в пути. Когда на веб-странице отображается поле пароля, пользователь должен смотреть в адресную строку, чтобы определить, является ли доменное имя в адресной строке правильным местом для отправки пароля. [32] Например, для системы единого входа Google (используемой, например, на youtube.com), пользователь должен всегда проверять, что в адресной строке написано «https://accounts.google.com», прежде чем вводить пароль.

Бескомпромиссный браузер гарантирует правильность адресной строки. Эта гарантия является одной из причин, по которой браузеры обычно отображают предупреждение при входе в полноэкранный режим поверх того места, где обычно находится адресная строка, так что полноэкранный веб-сайт не может создать поддельный пользовательский интерфейс браузера с поддельной адресной строкой. [33]

Браузер оборудования [ править ]

Были попытки продавать аппаратные браузеры, работающие из файловых систем с доступом только для чтения, без возможности записи. Данные не могут быть сохранены на устройстве, и носитель не может быть перезаписан, представляя чистый исполняемый файл при каждой загрузке. Первым таким устройством был ZeusGard Secure Hardware Browser, выпущенный в конце 2013 года. Веб-сайт ZeusGard не работал с середины 2016 года. Другое устройство, iCloak® Stik с веб-сайта iCloak, предоставляет полную версию Live OS.который полностью заменяет всю операционную систему компьютера и предлагает два веб-браузера из системы только для чтения. С iCloak они предоставляют браузер Tor для анонимного просмотра, а также обычный браузер Firefox для неанонимного просмотра. Любой незащищенный веб-трафик (например, не использующий https) может по-прежнему подвергаться изменению посредником или другим манипуляциям на основе сетевого трафика.

LiveCD [ править ]

LiveCD , которые запускают операционную систему из незаписываемого источника, обычно поставляются с веб-браузерами как часть их образа по умолчанию. Если исходный образ LiveCD не содержит вредоносных программ, все используемое программное обеспечение, включая веб-браузер, будет загружаться без вредоносных программ при каждой загрузке образа LiveCD.

Повышение безопасности браузера [ править ]

Просмотр Интернета в качестве учетной записи пользователя с минимальными привилегиями (т. Е. Без прав администратора) ограничивает возможность взлома системы безопасности в веб-браузере поставить под угрозу всю операционную систему. [34]

Internet Explorer 4 , а затем позволяет черный список [35] [36] [37] и белый список [38] [39] из ActiveX управления, дополнений и расширений браузера различными способами.

В Internet Explorer 7 добавлен «защищенный режим» - технология, которая усиливает защиту браузера за счет применения функции изолированной программной среды Windows Vista, называемой « Обязательный контроль целостности» . [40] Google Chrome предоставляет " песочницу" для ограничения доступа операционной системы к веб-страницам. [41]

Сайты с подозрением на вредоносное ПО, о которых сообщается в Google [42] и подтверждено Google, помечаются как содержащие вредоносное ПО в некоторых браузерах. [43]

Существуют сторонние расширения и плагины для усиления безопасности даже последних браузеров [44], а некоторые - для старых браузеров и операционных систем. Программное обеспечение на основе белого списка, такое как NoScript, может блокировать JavaScript и Adobe Flash, которые используются для большинства атак на конфиденциальность, позволяя пользователям выбирать только сайты, которые, как они знают, безопасны - AdBlock Plus также использует подписки на правила фильтрации рекламы из белого списка , хотя и само программное обеспечение, и Сопровождающие списков фильтрации спорят о том, что по умолчанию разрешает некоторым сайтам проходить предустановленные фильтры. [45] US-CERT рекомендует блокировать флэшиспользуя NoScript . [46]

Fuzzing [ править ]

Современные веб-браузеры проходят тщательную фаззинг для выявления уязвимостей. Код Chromium в Google Chrome постоянно обновляется командой безопасности Chrome с 15 000 ядрами. [47] Для Microsoft пограничного и Internet Explorer , Microsoft выполняется fuzzed тестирование с 670 машино-лет в процессе разработки продукта, создавая более 400 млрд DOM манипуляции с 1 млрд HTML файлов. [48] [47]

Лучшая практика [ править ]

  • Загрузка чистого программного обеспечения: загрузка из известной чистой ОС с известным чистым веб-браузером.
  • Принять адекватные меры противодействия уязвимости Cross-Origin Resource Sharing (CORS) (для браузеров на основе WebKit предоставляются примеры исправлений)
  • Предотвращение атак через стороннее программное обеспечение: используйте защищенный веб-браузер или дополнительный режим свободного просмотра.
  • Предотвращение манипуляций с DNS: используйте надежный и безопасный DNS [49]
  • Избегайте эксплойтов на веб-сайтах: используйте плагины браузера для проверки ссылок, которые обычно встречаются в программах обеспечения безопасности в Интернете.
  • Избегайте вредоносного контента: используйте средства защиты периметра и антивирусное ПО

См. Также [ править ]

  • Пузырь с фильтром
  • Внедрение рамы
  • Сеть, управляемая идентификацией
  • Интернет-безопасность
  • Политика сетевой безопасности
  • Безопасность веб-приложений

Ссылки [ править ]

  1. ^ Маоне, Джорджио . «NoScript :: Дополнения для Firefox» . Дополнения Mozilla . Mozilla Foundation .
  2. ^ a b c NC ( Сеть исследований в области социальных наук ). «BetterPrivacy :: Дополнения для Firefox» . Дополнения Mozilla . Mozilla Foundation .[ постоянная мертвая ссылка ]
  3. ^ Кейзер, Грег. Подтверждена уязвимость Firefox 3.5. Архивировано 28 октября 2010 г. на Wayback Machine . Проверено 19 ноября 2010 года.
  4. ^ Мессмер, Эллен и NetworkWorld. "Google Chrome возглавил" грязную дюжину "уязвимых приложений" . Проверено 19 ноября 2010 года.
  5. ^ Скиннер, Кэрри-Энн. Opera Plugs "Серьезная" дыра в браузере. Архивировано 20 мая 2009 года на Wayback Machine . Проверено 19 ноября 2010 года.
  6. ^ Брэдли, Тони. «Пора наконец отказаться от Internet Explorer 6». Архивировано 15 октября 2012 года на Wayback Machine . Проверено 19 ноября 2010 года.
  7. ^ "Браузер" . Mashable . Архивировано 2 сентября 2011 года . Проверено 2 сентября 2011 года .
  8. ^ Смит, Дэйв. «Троян Yontoo: новое вредоносное ПО для Mac OS X заражает браузеры Google Chrome, Firefox и Safari через рекламное ПО» . IBT Media Inc. Архивировано 24 марта 2013 года . Проверено 21 марта 2013 года .
  9. ^ Гудин, Дэн. «Взлом MySQL.com оставляет посетителей уязвимыми для вредоносных программ» . Архивировано 28 сентября 2011 года . Проверено 26 сентября 2011 года .
  10. ^ Клинтон Вонг. «HTTP-транзакции» . О'Рейли. Архивировано из оригинального 13 июня 2013 года .
  11. ^ «9 способов узнать, что ваш компьютер заражен вредоносным ПО» . Архивировано из оригинального 11 ноября 2013 года.
  12. ^ "Официальные документы Symantec Security Response" . Архивировано 9 июня 2013 года.
  13. ^ a b Палант, Владимир . «Adblock Plus :: Дополнения для Firefox» . Дополнения Mozilla . Mozilla Foundation .
  14. ^ «Конфиденциальность Facebook проверена на приглашениях типа« лайк »» . CBC News . 23 сентября 2010 года архивация с оригинала на 26 июня 2012 . Проверено 24 августа 2011 года .
  15. ^ Albanesius, Хлоя (19 августа 2011). «Немецким агентствам запрещено использовать кнопку« Нравится »на Facebook» . Журнал ПК . Архивировано 29 марта 2012 года . Проверено 24 августа 2011 года .
  16. ^ McCullagh, Деклан (2 июня 2010). «Кнопка« Нравится »в Facebook привлекает внимание к конфиденциальности» . CNET News . Архивировано 5 декабря 2011 года . Проверено 19 декабря 2011 года .
  17. ↑ Roosendaal, Арнольд (30 ноября 2010 г.). «Facebook отслеживает и отслеживает всех: нравится!» . SSRN 1717563 . 
  18. ^ Сантос, JCS; Peruma, A .; Мирахорли, М .; Галстеры, М .; Видаль, СП; Сейфия, А. (апрель 2017 г.). «Понимание уязвимостей программного обеспечения, связанных с тактикой архитектурной безопасности: эмпирическое исследование Chromium, PHP и Thunderbird» . Международная конференция IEEE по архитектуре программного обеспечения (ICSA) 2017 : 69–78. DOI : 10.1109 / ICSA.2017.39 .
  19. ^ Штат Вермонт. «Атаки на веб-браузер» . Архивировано из оригинального 13 февраля 2012 года . Проверено 11 апреля 2012 года .
  20. ^ «Обзор руткитов Windows» (PDF) . Symantec. Архивировано из оригинального (PDF) 16 мая 2013 года . Проверено 20 апреля 2013 года .
  21. ^ «Атака межсайтового скриптинга» . Архивировано 15 мая 2013 года . Проверено 20 мая 2013 года .
  22. ↑ Ленни Зельцер. «Защита от атак на веб-браузер и надстройки» . Архивировано 7 мая 2013 года . Проверено 20 мая 2013 года .
  23. ^ Дэн Гудин. «Две новые атаки на SSL расшифровывают файлы cookie аутентификации» . Архивировано 15 мая 2013 года . Проверено 20 мая 2013 года .
  24. ^ "beefproject.com" . Архивировано 11 августа 2011 года.
  25. ^ Сантос, Джоанна CS; Сейфия, Адриана; Коррелло, Тейлор; Гаденканахалли, Смрути; Мирахорли, Мехди (2019). «Ахиллесова пята архитектур программного обеспечения plug-and-play: подход, основанный на обоснованной теории» . Труды 27-го совместного заседания ACM 2019 г., посвященного Европейской конференции по программной инженерии и симпозиуму по основам программной инженерии . ESEC / FSE 2019. Нью-Йорк, Нью-Йорк, США: ACM: 671–682. DOI : 10.1145 / 3338906.3338969 . ISBN 978-1-4503-5572-8.
  26. ^ «Как создать правило, которое будет блокировать или регистрировать вспомогательные объекты браузера в Symantec Endpoint Protection» . Symantec.com. Архивировано 14 мая 2013 года . Проверено 12 апреля 2012 года .
  27. ^ «Солтани, Ашкан, Кэнти, Шеннон, Мэйо, Квентин, Томас, Лорен и Хуфнэгл, Крис Джей: файлы cookie Flash и конфиденциальность» . 10 августа 2009 года SSRN 1446862 . 
  28. ^ «Локальные общие объекты -« Флэш-файлы cookie » » . Электронный информационный центр конфиденциальности. 21 июля 2005 года архивация с оригинала на 16 апреля 2010 года . Проверено 8 марта 2010 года .
  29. ^ Чи, Филипп . «Flashblock :: Дополнения для Firefox» . Дополнения Mozilla . Mozilla Foundation . Архивировано из оригинального 15 апреля 2013 года .
  30. ^ «Pwn2Own 2010: интервью с Чарли Миллером» . 1 марта 2010 года Архивировано из оригинала 24 апреля 2011 года . Проверено 27 марта 2010 года .
  31. ^ «Эксперт считает, что политика Adobe Flash рискованна» . 12 ноября 2009 года. Архивировано 26 апреля 2011 года . Проверено 27 марта 2010 года .
  32. ^ Джон С. Митчелл . «Модель безопасности браузера» (PDF) . Архивировано 20 июня 2015 года (PDF) .
  33. ^ «Использование полноэкранного API HTML5 для фишинговых атак» Feross.org » . feross.org . Архивировано 25 декабря 2017 года . Проверено 7 мая 2018 .
  34. ^ «Использование учетной записи с наименее привилегированными правами» . Microsoft . Архивировано 6 марта 2013 года . Проверено 20 апреля 2013 года .
  35. ^ «Как остановить запуск элемента ActiveX в Internet Explorer» . Microsoft . Архивировано 2 декабря 2014 года . Проверено 22 ноября 2014 года .
  36. ^ «Записи реестра зон безопасности Internet Explorer для опытных пользователей» . Microsoft . Архивировано 2 декабря 2014 года . Проверено 22 ноября 2014 года .
  37. ^ «Устаревшая блокировка элемента управления ActiveX» . Microsoft . Архивировано 29 ноября 2014 года . Проверено 22 ноября 2014 года .
  38. ^ «Управление надстройками Internet Explorer и обнаружение сбоев» . Microsoft . Архивировано 29 ноября 2014 года . Проверено 22 ноября 2014 года .
  39. ^ «Как управлять надстройками Internet Explorer в Windows XP с пакетом обновления 2» . Microsoft . Архивировано 2 декабря 2014 года . Проверено 22 ноября 2014 года .
  40. ^ Мэтью Коновер. «Анализ модели безопасности Windows Vista» (PDF) . Symantec Corporation . Архивировано из оригинального (PDF) 16 мая 2008 года . Проверено 8 октября 2007 года .
  41. ^ «Безопасность браузера: уроки из Google Chrome» . Архивировано 11 ноября 2013 года.
  42. ^ «Сообщить о вредоносном ПО (URL) в Google» . Архивировано 12 сентября 2014 года.
  43. ^ "Безопасный просмотр Google" . Архивировано 14 сентября 2014 года.
  44. ^ «5 способов защитить ваш веб-браузер» . ZoneAlarm . Архивировано 7 сентября 2014 года.
  45. ^ «Adblock Plus скоро заблокирует меньше рекламы - SiliconFilter» . Siliconfilter.com. Архивировано 30 января 2013 года . Проверено 20 апреля 2013 года .
  46. ^ «Защита вашего веб-браузера» . Архивировано 26 марта 2010 года . Проверено 27 марта 2010 года .
  47. ^ a b Сестерхенн, Эрик; Вевер, Беренд-Ян; Орро, Микеле; Вервье, Маркус (19 сентября 2017 г.). «Белая книга по безопасности браузера» (PDF) . X41D SEC GmbH.
  48. ^ «Улучшения безопасности для Microsoft Edge (Microsoft Edge для ИТ-специалистов)» . Microsoft . 15 октября 2017 . Проверено 31 августа 2018 года .
  49. ^ Пирс, Пол; Джонс, Бен; Ли, Фрэнк; Энсафи, Ройя; Фимстер, Ник; Уивер, Ник; Паксон, Верн (2017). «Глобальное измерение манипулирования {DNS}» : 307–323. ISBN 978-1-931971-40-9. Цитировать журнал требует |journal=( помощь )

Дальнейшее чтение [ править ]

  • Сестерхенн, Эрик; Вевер, Беренд-Ян; Орро, Микеле; Вервье, Маркус (19 сентября 2017 г.). «Белая книга по безопасности браузера» (PDF) . X41D SEC GmbH.
  • Гейдерих, Марио; Инфюр, Алекс; Фесслер, Фабиан; Крейн, Николай; Кинугава, Масато (29 ноября 2017 г.). «Официальный документ по безопасности браузера Cure53» (PDF) . Вылечить53.